¿Cómo encajan NIS2, el RGPD y DORA cuando un incidente exige varias notificaciones?

Cada norma tiene su propia notificación, destinatario y plazo, y un mismo incidente puede activar varias. Un incidente significativo en una entidad incluida va al CSIRTCSIRT: equipo de respuesta a incidentes de seguridad informática. El equipo nacional al que se notifican los incidentes significativos. o a la autoridad competente según el artículo 23 de NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas.; si afecta a datos personales, el responsable lo notifica además a la autoridad de protección de datos según el artículo 33 del RGPDRGPD: Reglamento General de Protección de Datos. La ley europea de protección de datos (Reglamento (UE) 2016/679).; una entidad financiera notifica los incidentes graves relacionados con las TIC según el artículo 19 de DORA en lugar de NIS2; y un fabricante de productos puede tener obligaciones por el Reglamento de ciberresiliencia, véase el Reglamento (UE) 2024/2847, artículo 14. Algunos sistemas nacionales ofrecen un portal único, pero no dé por hecho que una notificación lo cubre todo. Lleve un solo expediente del incidente y genere cada notificación a partir de él, para que los hechos coincidan. El artículo 35 de NIS2 pide además a las autoridades NIS2 que informen a las de protección de datos de las violaciones que conozcan. NetSenX sigue los plazos de NIS2 y prepara un borrador de notificación del artículo 33 del RGPD con los mismos datos del incidente.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

← Las 35 preguntas sobre Plazos de notificaciónTodos los temas